Apache Tomcat Seite 8

Die Standardkonfiguration von cas-auth in Apache APISIX ist anfällig für eine URL-Umleitung zu nicht vertrauenswürdigen Zielen (Open Redirect) und ermöglicht dadurch Phishing sowie den Diebstahl von Zugangsdaten. CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Eine Schwachstelle durch unzureichende Eingabevalidierung und mangelnde Neutralisierung von Sonderzeichen (Injection) betrifft die Kafka-Komponente von Apache Camel (camel-kafka), konkret den camel-kafka-Producer. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Apache Airflow werden zuvor ausgestellte JWT-Token nach dem Klicken auf „Abmelden” in der Benutzeroberfläche nicht ungültig gemacht. Betroffen sind der FabAuthManager und der KeycloakAuthManager, da der Logout-Vorgang keine Token-Invalidierung durchführt. CVSS-Basiswert: 6.5 (Mittel).

In Apache Answer (bis einschliesslich Version 2.0.0) besteht eine Cross-Site-Scripting-Schwachstelle (Basic XSS): Von Nutzern bereitgestellte Inhalte wurden bei der Seitengenerierung unzureichend neutralisiert, wodurch script-bezogene HTML-Tags eingeschleust werden können. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: Auf eine vom Hersteller bereitgestellte, korrigierte Version aktualisieren.

Im OAuth2 TokenIntrospectionService von Apache CXF besteht eine Authentifizierungsumgehung. Wegen eines fehlenden 'throw'-Schlüsselworts in der Prüfung des Security-Contexts greift der Introspection-Endpunkt die Sicherheitsprüfung nicht korrekt. CVSS-Basiswert: 4.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Eine Schwachstelle in der Komponente Apache Camel Netty HTTP führt dazu, dass Fehlermeldungen sensible Informationen enthalten können. Der HTTP-Server-Consumer camel-netty-http stellt die Option muteException bereit, die dieses Verhalten steuert. Als betroffen ausgewiesen sind Apache HTTP Server / ASF-Projekte und Apache Tomcat. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

In der Apache-Camel-Komponente camel-undertow kann der HTTP-Server-Consumer über die muteException-Option sensible Informationen in erzeugten Fehlermeldungen offenlegen. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Im OPA-Plugin besteht eine Authentifizierungsumgehung durch Spoofing: Ein Angreifer kann gefälschte Identitäts-Header an Upstream-Systeme weiterreichen und dabei eine vom Standard abweichende Konfiguration des OPA-Plugins ausnutzen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: die vom Projekt bereitgestellte korrigierte Version einspielen.

Die partitioned_dag_runs-Endpunkte im Airflow-UI prüften lediglich Asset-Zugriffsrechte, nicht aber die DAG-spezifische Autorisierung. Ein authentifizierter Benutzer mit globalem Asset:read-Recht konnte dadurch DAG-Run-Informationen anderer DAGs aufzählen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In Apache Airflow ermöglicht der Event-Log-Detail-Endpunkt (GET /api/v2/eventLogs/{event_log_id}) den Abruf von Audit-Log-Einträgen direkt über numerische IDs nach einer allgemeinen Berechtigungsprüfung, ohne eine benutzergebundene Filterung durchzuführen. Dies kann zu einem unberechtigten Informationszugriff führen. CVSS-Basiswert: 4.3 (Mittel).

Eine unzureichende Eingabevalidierung bzw. ein Authorization Bypass über einen benutzerkontrollierten Schlüssel in der JIRA-Komponente von Apache Camel: Die camel-jira-Producer lesen ihre Operationsparameter (u. a. den Issue-Key) so ein, dass sich eine Autorisierungsprüfung umgehen lässt. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine fehlerbereinigte Apache-Camel-Version aktualisieren.

Eine SQL-Fehlkonfiguration in der Gravitino-UI (Versionen 1.0.0 und darunter) kann es einem böswilligen Benutzer ermöglichen, Dateien zu lesen oder zu leeren (truncate). CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Auf Version 1.0.0 aktualisieren, welche das Problem behebt.

Die Apache Camel Salesforce Component ist anfällig für eine unzureichende Neutralisierung besonderer Elemente in der Ausgabe (Injection) sowie für eine Autorisierungsumgehung über einen benutzerkontrollierten Schlüssel. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Apache Airflow bewirkt ein Fehler im Variable-Response-Masker, dass die Schwärzung verschachtelter Schlüssel mit sicherheitsrelevanten Suffixen (z. B. „password”, „token”, „secret”, „api_key”) umgangen werden kann, wenn der JSON-Wert entsprechend strukturiert ist. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Die Autorisierungsbehandlung für Anfragen zur Verifizierung von Komponentenkonfigurationen erlaubt in Apache NiFi 1.15.0 bis 2.9.0 Clients mit Lesezugriff, vorgeschlagene Konfigurationseigenschaften einzureichen. CVSS-Basiswert: 6.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Apache NiFi auf eine korrigierte Version aktualisieren.

In Apache Answer (betroffen bis einschließlich Version 2.0.0) besteht eine Offenlegung sensibler Informationen gegenüber nicht autorisierten Akteuren. Die Funktion für nicht gelistete Fragen setzte Zugriffsbeschränkungen nicht durch. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In Apache Atlas kann ein authentifizierter Benutzer Cross-Site-Scripting (XSS) ausführen. Betroffen sind die Versionen 2.4.0 und früher. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Version 2.5.0 aktualisieren, welche das Problem behebt.

In Apache APISIX besteht eine Schwachstelle durch die Nutzung einer wenig vertrauenswürdigen Quelle. Ein Angreifer kann das wolf-rbac-Plugin in der Standardkonfiguration ausnutzen, um Logs mit gefälschten Identitätsinformationen zu verunreinigen. CVSS-Basiswert: 5.8 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Eine Schwachstelle der fehlerhaften Autorisierung in Apache DolphinScheduler erlaubt Benutzern den Zugriff auf Informationen zu Workflow-Instanzen von Projekten, für die sie keine Zugriffsberechtigung besitzen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: betroffene Version gemäss Apache-Advisory aktualisieren.

In Apache Kafka wurde bei der Implementierung des CONSUMER_GROUP_DESCRIBE-API (Opcode 69) die DESCRIBE-Operation fälschlicherweise gegen die GROUP-Ressource statt der korrekten Ressource geprüft. Dies stellt eine unzureichende Autorisierungsprüfung dar. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Eine Schwachstelle bei der Authentifizierung in Apache Tomcat erlaubte einen Replay-Angriff gegen den EncryptionInterceptor in der Cluster-Komponente. Betroffen ist laut Quelle Apache Tomcat ab 11.0.0-M1. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Eine Schwachstelle im JwsJsonContainerRequestFilter von Apache CXF kann dazu ausgenutzt werden, dass CXF Metadaten verarbeitet, die nicht durch die akzeptierte Signatur authentifiziert wurden. Dadurch lässt sich die Signaturprüfung der Anwendung umgehen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Apache NiFi (Versionen 0.0.1 bis 2.9.0) bildet qualifizierte URLs aus verschiedenen HTTP-Request-Headern, die als Alternative zum Standard-Host-Header dienen, ohne die übermittelten Werte zu validieren. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine fehlerbereinigte Apache-NiFi-Version aktualisieren.

Die Middleware JWTRefreshMiddleware in Apache Airflow setzte das JWT-Auth-Cookie ohne das Secure-Flag. Bei Deployments hinter einem HTTPS-terminierenden Reverse-Proxy (z. B. nginx oder Envoy) konnte das Cookie so über ungesicherte Verbindungen übertragen werden. CVSS-Basiswert: 5.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Im Klaw-Portal für Apache-Kafka-Verwaltung besteht vor Version 2.10.4 eine Schwachstelle durch unsachgemässe Zugriffskontrolle, die die Offenlegung von Passwort-Hashes ermöglicht. Das Problem wurde in Version 2.10.4 behoben.

Die Retry-Topic-Infrastruktur von Spring Kafka validierte benutzerkontrollierte Header-Werte nicht ausreichend, bevor sie darauf reagierte. Ein Producer konnte einen Datensatz mit einem manipulierten retry_topic-attempts-Header senden. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In Apache Gravitino erlaubt eine authentifizierte Server-Side-Request-Forgery-Schwachstelle im JobManager serverseitige HTTP-Anfragen an das interne Netzwerk und an Cloud-Metadaten-Endpunkte. Ursache sind nicht validierte URIs in Job-Templates. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: betroffene Apache-Gravitino-Version gemäss Herstelleradvisory aktualisieren.

Apache Airflows EmailOperator und die zugehörigen SMTP-Hilfsfunktionen bauen STARTTLS-Verbindungen auf, ohne das Remote-Zertifikat zu verifizieren, wenn SMTP STARTTLS in der Konfiguration aktiviert ist. Dies ermöglicht Man-in-the-Middle-Angriffe auf E-Mail-Verbindungen. CVSS-Basiswert: 5.9 (Mittel).

In Apache HTTP Server 2.4.67 und früher erlaubt eine unzureichende Rechteverwaltung (Improper Privilege Management) lokalen Autoren von .htaccess-Dateien, Dateien mit den Rechten des httpd-Benutzers zu lesen. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Auf eine vom Hersteller bereitgestellte, korrigierte Version aktualisieren.

In Apache OpenMeetings besteht eine Path-Traversal-Schwachstelle (unzulässige Einschränkung eines Pfadnamens auf ein beschränktes Verzeichnis). Betroffen sind Versionen ab 5.0.0 vor 9.1.0. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: auf Apache OpenMeetings 9.1.0 oder neuer aktualisieren.

In Apache Kylin besteht eine Schwachstelle durch unsachgemässe Behandlung unzureichender Berechtigungen: Bei der Abfrage von Job-Informationen kann ein Angreifer durch fehlerhafte Autorisierung Zugriff auf nicht autorisierte Jobs erhalten. CVSS-Basiswert: 4.3 (Mittel). Empfohlene Massnahme: Updates des Herstellers beobachten und nach Verfügbarkeit einspielen.

Eine Improper Input Validation bzw. Offenlegung sensibler Informationen an einen nicht autorisierten Akteur betrifft die Apache Camel Mail Component. Der camel-mail-Producer (MailProducer.getSender) durchsucht die ausgehende Verarbeitung in einer Weise, die zur Offenlegung führen kann. CVSS-Basiswert: 3.7 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf eine bereinigte Version gemäss Apache-Advisory aktualisieren.

Im Klaw-Portal für Apache-Kafka-Verwaltung besteht vor Version 2.10.4 eine Schwachstelle durch inkonsistente Behandlung der Benutzerregistrierung und des Anmeldemechanismus. CVSS-Basiswert: 2.7 (Niedrig).